Решение № 8830 от 08.09.2026 г. на ВАС по адм. д. № 2439/2026 г.

Производството е по чл. 208 и сл. от Административнопроцесуалния кодекс. Образувано е по касационна жалба на "Кредирект" ЕООД гр.София, чрез процесуалния си представител-юрк.Вълканов, срещу решение №1861 от 05.12.2025 г. по адм. дело № 138/2025 г. на Административен съд - Ловеч. В касационната жалба са изложени доводи за постановяване на решението при допуснати съществени нарушения на процесуалните правила, в противоречие с материалния закон и необоснованост - касационни основания по чл. 209, т. 3 АПК за отмяната му. Поддържа се, че съдът е не е отчел, че искането в жалбата не съответства на първоначалното заявление на субекта на данни и е постановил решението си по незаявено искане пред администратора, в нарушение на процесуалните правила. Счита се, че съдът не е обсъдил доводите и възраженията на администратора на лични данни и не е дал правна оценка дали обжалваният отговор е законосъобразен или не. При тези съображения, развити подробно в касационната жалба, иска да се отмени обжалваното решение и се реши спорът по същество като се отхвърли първоначалната жалба. Претендира се присъждане на разноски за двете инстанции. Ответникът по касационната жалба - Л. П. М.., чрез пълномощника си-адв. Георгиев, представя писмен отговор, в който изразява становище, че обжалваното решение е правилно, не са налице сочените касационни основания за отмяната му, поради което иска да се остави в сила. Претендира присъждане на разноски за касационното производство. Прокурорът от Върховната касационна прокуратура дава мотивирано заключение за неоснователност на касационната жалба. Върховният административен съд, състав на пето отделение, като прецени данните по делото, доводите и възраженията на страните, намира, че касационната жалба е процесуално допустима като подаден в законния срок и от надлежна страна. За да се произнесе по съществото й, приема следното: С обжалваното решение АС -Ловеч е отменил изричен отказ на "Кредирект" ЕООД да предостави информация пи искане от 07.02.2025г.,подадено от Л. П. М. относно обработваните от дружеството негови лични данни и носителите на тези лични данни и е върнал преписката на администратора на лични данни за ново произнасяне, в 14 дневен срок от влизане в сила на съдебното решение. За да постанови обжалвания резултат съдът е приел от фактическа и правна страна следното: На 07.02.2025 г. Л. М., чрез адвокат Георгиев е подала по електронен път до "Кредирект" ЕООД искане, подписано с електронен подпис, с което на основание чл. 15 и 20 от Регламент (ЕС) 2016/679 е поискал от дружеството, в качеството му на администратор на лични данни да предостави информация относно обработените от дружеството негови лични данни, както и целите за обработване, категориите лични данни, които се обработват, получателите и категориите получатели, през които са разкрити тези данни, както и копие на личните данни, които са обработвани, включително носителите на тези лични данни- Поискано е и да му бъде предоставена информация за всички извършени плащания по сключените между дружеството и М. договори за потребителски кредит. На 06.03.2025 г., е получено писмо по електронен път – отговор на длъжностно лице по защита на данните в "Кредирект" ЕООД. С писмото се потвърждава, че дружеството обработва личните данни на Л. М., като са предоставили обща такава за видовете данни, които са обработвани от дружеството и уверение, че личните му данни са обработвани правомерно. При тези фактически обстоятелства, съдът е обсъдил подробно приложимите разпоредби от Регламент (ЕС) 2016/679 и въз основа на направения анализ е приел от правна страна, че за "Кредирект" ЕООД, в качеството му на администратор на лични данни, е налице задължението по член 15, параграф 3 от Регламент (ЕС) 2016/679 да предостави на субекта на данните копие от поисканите лични данни, съдържащи се в договора за кредит, в заявената форма за получаване и на посочения от лицето адрес за кореспонденция. Поради това е отменил обжалвания акт и изпратил преписката на административния орган за ново разглеждане. Решението е неправилно поради постановяването му в нарушение на съдопроизводствените правила и неправилно приложение на материалния закон. Съдът правилно е приел, че "Кредирект" ООД е администратор на лични данни по смисъла на член 4, параграф 7 от Регламент (ЕС) 2016/679, до който е адресирано искането на субекта на данни, при упражняване на правата му по член 15 ОРЗД и в този контекст правилно е идентифицирал същия като надлежна ответна страна в процеса. Издаденият от името на "Кредирект" ООД акт в отговор на заявлението на субекта на данни е подписан от длъжностното лице по защита на данните. В този контекст съдът изобщо не се е занимал с въпроса за компетентността на длъжностното лице по защита на данните да представлява и действа от името на администратора на лични данни, с оглед функциите и задачите на същото. Функциите и задачите на длъжностното лице по защита на данните са регламентирани в член 37 - 39 от Регламент (ЕС) 2016/679. Съгласно член 39 ОРЗД длъжностното лице по защита на данните изпълнява най-малко следните задачи: a) да информира и съветва администратора или обработващия лични данни и служителите, които извършват обработване, за техните задължения по силата на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка; б) да наблюдава спазването на настоящия регламент и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити; в) при поискване да предоставя съвети по отношение на оценката на въздействието върху защитата на данните и да наблюдава извършването на оценката съгласно член 35; г) да си сътрудничи с надзорния орган; д) да действа като точка за контакт за надзорния орган по въпроси, свързани с обработването, включително предварителната консултация, посочена в член 36, и по целесъобразност да се консултира по всякакви други въпроси. От визираните разпоредби е видно, че от самото качество на длъжностното лице по защита на данните не следва, че притежава правомощия за издаване на актове от името на администратора на лични данни по заявления на субектите на данни при упражняване на правата им по член 15 – 22 ОРЗД. В нарушение на правилото по чл. 168, ал. 1 АПК съдът не е проверил законосъобразността на оспорения административен акт на всички основания по чл. 146, т. 1 - 5 АПК и не е обсъдил компетентността на издателя на акта. Решението е постановено в нарушение на съдопроизводствените правила, поради което следва да се отмени и делото се върне за ново разглеждане от друг състав на същия съд, който следва да изясни въпросите, свързани с валидността на волеизявлението на длъжностното лице за защита на данните от името на администратора на лични данни. С оглед изхода на спора и на основание чл. 226, ал. 3 АПК, първоинстанционния съд следва да се произнесе и по разноските, направени пред касационната инстанция. Водим от горното, Върховният административен съд, състав на пето отделение,